387 Millionen USD gestohlen und auf Discord geklagt. Als Antwort erhielten sie ein Bild von Kim Jong Un

Nach einem Hackerangriff auf die Kryptowährungsbörse Bitget versuchen die Täter, die gestohlenen 387,5 Millionen USD mit unterschiedlichem Erfolg zu waschen. Im Hintergrund spielt sich ein Streit um die Idee der Dezentralisierung ab - THORChain weigerte sich, die Adressen der Angreifer zu sperren, und ermöglichte ihnen, Millionen in Bitcoin zu überweisen, während das Protokoll NEAR Intents den Versuch stoppte, über 50 Millionen USD zu transferieren.
fot. Andy.LIU / / Shutterstock

Der Hackerangriff auf Bitget fand am 24. September statt, und sein Mechanismus unterschied sich von der klassischen Übernahme privater Schlüssel. Die Hacker erlangten hohe interne Berechtigungen, indem sie die Autorisierung unbefugter Überweisungen erzwangen. Die Schätzungen der Verluste wurden schnell nach oben korrigiert - von anfänglichen 351,6 Millionen USD auf 387,5 Millionen USD, als während der Ermittlungen verwandte Transfers in den Netzwerken Zcash und TRON entdeckt wurden.

Die Täter transferierten Vermögenswerte aus den EVM-Blockchains, XRP Ledger, Zcash und TRON (unter anderem in den Token XRP, ETH, USDT, USDC, BNB, AVAX und TRX). Die Geschäftsführung der Börse betont jedoch, dass der Vorfall ausschließlich die Serverinfrastruktur der Börse getroffen hat, während kalte Wallets und die unabhängige Anwendung Bitget Wallet unberührt blieben.

Der bekannte Blockchain-Analyst, der unter dem Pseudonym ZachXBT auftritt, wies darauf hin, dass das Muster der Geldwäsche, die verwendeten Konten und die Infrastruktur identisch mit dem Handlungschema der Gruppe TraderTraitor sind. Unter diesem Namen katalogisiert das amerikanische FBI nordkoreanische Hacker, die unter anderem für Angriffe auf Kelp DAO (292 Millionen USD Verlust) oder DMM Bitcoin (308 Millionen USD Verlust) verantwortlich gemacht werden. Die CEO von Bitget, Gracy Chen, bezeichnete die Beteiligung Nordkoreas als "sehr wahrscheinlich".

Zwei Philosophien des DeFi

Nach dem erfolgreichen Angriff transferierten die Hacker die Mittel in ihre Wallets und begannen mit dem Versuch, sie zu waschen. Bei den meisten Kryptowährungen ist dies keine einfache Aufgabe - jede Überweisung hinterlässt eine Spur auf der Blockchain, und man muss sich anstrengen, um "die Spur zu verlieren". Eine der Methoden ist das Springen zwischen Blockchains. Der schnelle Austausch von Vermögenswerten von einer Blockchain zur anderen (z.B. ETH in BTC, TRX oder XRP) über dezentrale Börsen oder Brücken sowie automatisierte Austauschprotokolle ermöglicht es, die einfache Spur der Mittel in der On-Chain-Analyse zu durchbrechen. Beispiele für solche automatisierten Protokolle sind THORChain und NEAR Intents.

NEAR verhinderte den Versuch, über 50 Millionen USD, die den Hackern von Bitget gehörten, zu transferieren. Das automatisierte Schutzsystem "SHIELD", das Anomalien im Fluss sowie Daten von externen Analyseagenturen erfasst, fror während der Transaktion 503.000 USD ein, während nur etwa 166.000 USD durch das Netzwerk gelangen konnten. Der Betreiber des Dienstes, Alex Shevchenko, forderte Bitget auf, den offiziellen Rechtsweg zu beschreiten, um die Mittel zurückzuerhalten, und erklärte gleichzeitig, auf eine Belohnung für deren Auffindung zu verzichten.

Anders verhielt sich das dezentrale Protokoll THORChain. Trotz des offiziellen Aufrufs von Bitget-CEO Gracy Chen, die bekannten Adressen der Täter zu sperren, weigerte sich THORChain, eine schwarze Liste zu erstellen. Infolgedessen überwiesen die Hacker ohne Hindernisse mindestens 2390 ETH (ca. 6,3 Millionen USD) und tauschten sie in Bitcoin in 27 erfolgreichen Transaktionen um. Das Team von THORChain kommentierte, dass die Mechanismen zur Netzsperrung ausschließlich dem Schutz des Protokolls dienen und nicht der selektiven Sperrung bestimmter Wallets.

Das Missgeschick chinesischer Wäscher

ZachXBT berichtete, dass hinter der Operation zur Geldwäsche von Kryptowährungen chinesische Vermittler stehen, die im Auftrag nordkoreanischer Hackergruppen arbeiten. Die Täter suchten nach gescheiterten Versuchen, XRP in Bitcoin umzutauschen, technische Hilfe auf öffentlichen Discord- und Telegram-Servern der Netzwerke THORChain und SwapKit und beklagten sich über festgehaltene Mittel.

Als der Austausch des gestohlenen XRP in Bitcoin im Netzwerk stecken blieb, begannen die Hacker, sich beim Support zu beschweren. Ein Benutzer mit dem Pseudonym "Cc" schrieb, dass er von den gesendeten 277.000 XRP nur einen Bruchteil des Betrags erhalten habe, während ein anderer sich darüber beschwerte, dass der Verlust "enorme Probleme in seinem Leben verursachen werde". Die Moderatoren von SwapKit antworteten auf diese Ansprüche mit einem Bild von Kim Jong Un.

Der Analyst verband eines dieser Discord-Konten ("lolo") direkt mit dem Angriff auf Kelp DAO im April (292 Millionen USD) und wies auf denselben digitalen Fingerabdruck hin, den das FBI der Gruppe TraderTraitor zuordnet.

Bitget implementiert einen schrittweisen Plan zur Wiederherstellung der Dienste. Auszahlungen in Bitcoin begannen am 28. September, in Ethereum am 29. September, und in USDT sollen sie am 30. September zurückkehren. Die volle Funktionalität der Plattform soll am 2. Oktober wiederhergestellt werden, obwohl die Emittenten von Stablecoins, Circle und Tether, bisher nur etwa 320.000 USD aus dem gestohlenen Pool blockieren konnten.

Michał Misiura

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.